SUMATERA UTARA — Layanan iCloud Private Relay yang selama ini dijual sebagai fitur privasi untuk menyembunyikan alamat IP pengguna Safari ternyata memiliki kelemahan serius. Tim peneliti keamanan dari Mysk, Tommy Mysk dan Talal Haj Bakry, menemukan bahwa situs web yang mendukung atau berpura-pura mendukung fitur passkey dapat melihat alamat IP asli pengguna, meskipun fitur Private Relay sudah aktif.
Menurut laporan yang dipublikasikan di situs Mysk, masalah ini berakar dari cara kerja mesin WebKit milik Apple. Passkey, yang merupakan standar keamanan pengganti kata sandi berbasis WebAuthn, membuat perangkat pengguna mengirimkan permintaan web di luar browser. Permintaan ini seolah-olah tidak melewati jalur proxy Private Relay, sehingga server tujuan tetap bisa melihat alamat IP asli perangkat.
“Karena permintaan tersebut dikeluarkan oleh layanan kredensial sistem operasi, bukan oleh Safari, permintaan itu tidak pernah masuk ke jalur proxy Private Relay. Server tujuan melihat alamat IP asli perangkat,” tulis para peneliti dalam risetnya.
Dampak kerentanan ini lebih terasa di ekosistem iOS. Di sebagian besar negara, semua browser di iPhone dan iPad wajib menggunakan mesin WebKit milik Apple. Akibatnya, pengguna browser alternatif yang mengandalkan privasi ketat pun ikut terdampak.
Peneliti menemukan bahwa OnionBrowser, salah satu browser Tor di iOS, juga terkena masalah ini. Jaringan Tor yang selama ini dikenal mampu menyembunyikan identitas pengguna dengan merutekan lalu lintas melalui beberapa node di seluruh dunia, ternyata bisa gagal melindungi alamat IP pengguna akibat celah ini.
Mysk melaporkan temuan ini ke Proyek Tor dan menyebut masalah tersebut berstatus “kritis” atau “dire”. Namun, Proyek Tor belum memberikan jadwal pasti kapan perbaikan akan dirilis. Mereka hanya mengizinkan Mysk untuk mengungkapkan temuan ini ke publik.
Laporan keamanan juga telah diajukan ke Apple. Status terbaru dari laporan tersebut menyebutkan bahwa perbaikan sedang direncanakan, tetapi baru akan hadir pada musim gugur 2026. Apple menulis, “Kami berencana untuk menangani masalah yang Anda laporkan.”
Pengguna yang ingin memeriksa apakah perangkatnya terdampak dapat mengunjungi situs web yang disiapkan oleh tim peneliti Mysk.
Perlu dicatat, iCloud Private Relay bukanlah layanan VPN. Fungsinya hanya melindungi alamat IP pengguna saat memakai Safari, sedangkan VPN melindungi seluruh lalu lintas data dari perangkat di level sistem. Karena itu, pengguna yang mengandalkan Private Relay untuk privasi menyeluruh sebaiknya memahami batasan ini.
Ini juga bukan pertama kalinya layanan privasi Apple bermasalah. Bulan lalu, Apple memperbaiki kerentanan pada fitur Hide My Email yang memungkinkan pihak lain mengakses alamat email asli pengguna.
Bagi pengguna iPhone di Indonesia yang sangat mengandalkan fitur privasi Apple, temuan ini menjadi pengingat bahwa tidak ada sistem yang sepenuhnya aman. Sampai perbaikan resmi dirilis, pengguna disarankan untuk lebih berhati-hati saat mengunjungi situs web yang meminta autentikasi passkey, atau mempertimbangkan penggunaan VPN tambahan untuk lapisan proteksi ekstra.